Checklist GDPR per parrucchieri: i cinque passi che devi davvero completare

Cosa tocca davvero il GDPR in un salone da parrucchiere

Il regolamento europeo sulla protezione dei dati si applica a chiunque tratti dati personali, indipendentemente dalle dimensioni dell'azienda. Non esiste una soglia minima per le ditte individuali o per i saloni con due poltrone. Nel momento in cui salvi un nome e un numero di telefono per confermare un appuntamento, ci rientri.

In un salone si tratta di quattro tipi di dati. I dati di contatto, usati per prenotare e confermare gli appuntamenti. Lo storico degli appuntamenti, compreso quale trattamento è stato fatto e quando. Le note professionali, come le formule colore e i prodotti utilizzati. E infine le note sanitarie: una reazione alla PPD, un cuoio capelluto sensibile, una gravidanza che conta per un servizio chimico.

Quest'ultima categoria rientra in una classe giuridica diversa. Secondo l'articolo 9 del GDPR, i dati sanitari sono una categoria particolare, che richiede un consenso esplicito e garanzie più forti. Il confine tra dati comuni e dati particolari determina tutto il resto di ciò che imposti, quindi conviene averlo chiaro prima di iniziare la checklist. Se vuoi prima capire quali dati dei clienti puoi registrare e su quale base, leggi le basi del GDPR per i centri estetici.

Un'agenda cartacea non è vietata, ma rende più difficile quasi ogni passo qui sotto. Non puoi cifrarla, non puoi limitarne l'accesso per collaboratore e, se va persa o brucia, non saprai nemmeno con esattezza quali dati sono spariti. Ed è proprio quest'ultima informazione che ti serve quando devi notificare una violazione.

Passo 1: mappa quali dati si trovano dove

Non puoi proteggere ciò che non sai di avere. Il primo passo quindi è noioso ma essenziale: annota quali dati dei clienti possiedi, dove si trovano e chi può accedervi.

Prenditi mezz'ora e percorri letteralmente il tuo salone. Nella pratica saltano fuori più posti di quanti chiunque si aspetti: il software di gestione dell'agenda, il telefono alla reception, una chat di gruppo del team, un vecchio foglio di calcolo sul computer del retro, la casella email con tutte le conferme degli appuntamenti e il quaderno accanto alla cassa.

Per ogni posto annota tre cose. Quali dati ci sono, perché li conservi e chi ha accesso. È la terza colonna a sorprendere la maggior parte dei titolari: un apprendista che usa il login della reception spesso può vedere esattamente le stesse informazioni del titolare, comprese note che non erano destinate a lui.

Questo inventario non è burocrazia fine a se stessa. Ti dà la lista che ti serve per il passo 3 (con chi condividi i dati), per il passo 4 (cosa si può eliminare) e per la notifica dell'ultima sezione (cosa è stato esposto esattamente). Quindi conservalo e aggiornalo ogni volta che adotti un nuovo sistema.

Passo 2: scrivi un'informativa privacy che corrisponda a ciò che fai

Un'informativa privacy dice ai clienti quali dati raccogli, perché, per quanto tempo li conservi e quali diritti hanno. Deve essere facile da trovare: sul tuo sito web e, se ti va, stampata alla reception.

La trappola non è che i saloni non abbiano un'informativa, ma che ne copino una da internet che non descrive quello che succede davvero. Se dichiara che non tratti dati sanitari mentre annoti le allergie, la tua informativa è inesatta e hai aggiunto un problema invece di risolverlo. Usa l'inventario del passo 1 come base: ogni posto di quella lista deve ritrovarsi nell'informativa.

Ci sono almeno quattro cose che devono esserci. Quali dati tratti e per quale scopo. Per quanto tempo li conservi. Con quali soggetti li condividi, come il fornitore del software e il commercialista. E come un cliente esercita i suoi diritti: accesso, rettifica e cancellazione, più a chi rivolgersi se non è d'accordo con te.

Le autorità di controllo pubblicano linee guida che puoi seguire senza una formazione giuridica. La spiegazione generale del GDPR dell'autorità olandese è un punto di partenza pratico, e i principi che illustra valgono in tutta l'UE. Poi scrivi l'informativa con parole tue. Un testo che il cliente capisce vale più di un testo che sembra un contratto.

Passo 3: l'accordo con il responsabile del trattamento che quasi ogni salone dimentica

È il passo che nella pratica manca più spesso, ed è uno con una base giuridica precisa. Non appena un soggetto esterno tratta i dati personali dei tuoi clienti, ti serve con lui un accordo sul trattamento dei dati. Non è facoltativo e non è una formalità: è previsto dall'articolo 28 del GDPR.

Per un salone si arriva in fretta a quattro o cinque soggetti. Il software del salone. Il programma di contabilità o il commercialista. Chi invia la tua newsletter. Il fornitore dei pagamenti online. A volte il tuo sviluppatore web, se il sito ha un modulo di contatto.

Non devi redigere tu l'accordo. I fornitori seri ne hanno uno pronto, spesso come parte delle condizioni o come documento separato che puoi leggere e accettare nel tuo account. Se non lo trovi da nessuna parte, chiedilo. Un fornitore che non riesce a fornirlo dopo una domanda diretta ti sta dicendo qualcosa di importante su come tratta i dati dei tuoi clienti.

Mentre lo leggi, due punti contano davvero per te: dove si trovano fisicamente i dati e cosa succede quando te ne vai. L'archiviazione all'interno dell'Unione europea ti risparmia molto lavoro sui trasferimenti verso paesi terzi. E un accordo che ti garantisce di riavere i tuoi dati in un file utilizzabile quando te ne vai evita che la tua lista clienti diventi ostaggio del tuo abbonamento. Salonnare archivia i dati all'interno dell'UE e mette a disposizione un accordo sul trattamento in ogni piano, compreso quello gratuito.

Passo 4: i tempi di conservazione, e perché un unico numero non va bene per tutto

Il GDPR non fissa periodi esatti. Dice che non devi conservare i dati più a lungo del necessario per lo scopo per cui li hai raccolti. Sembra vago, ma in un salone si traduce in modo chiaro.

I documenti fiscali sono il caso più netto, perché la normativa fiscale prevale sul tuo obbligo di cancellazione previsto dal GDPR. Per quanto tempo dipende da dove operi: sette anni nei Paesi Bassi, dieci in Germania e in Francia, sei in Spagna. Verifica la regola del tuo paese e annotala. Non puoi cancellare quei documenti su richiesta di un cliente, e non si tratta di un rifiuto ma di un obbligo di legge che puoi semplicemente spiegare.

Per tutto il resto scegli un periodo e lo metti per iscritto. Una linea comune è due anni dopo l'ultima visita per le schede cliente e i profili di marketing. Se qualcuno non viene da due anni, difficilmente ti servirà la formula colore di allora. Il consenso alla newsletter tende a scadere prima: se un iscritto non apre nulla da un anno, chiedere di nuovo è meglio che andare avanti.

Il vero lavoro sta nella distinzione. Un cliente che chiede la cancellazione ha diritto a far eliminare la sua scheda, mentre le sue fatture devono restare per motivi fiscali. Tenerle separate a mano prima o poi va storto. In un sistema che tratta separatamente la scheda cliente e i documenti fiscali, elimini la scheda senza toccare la contabilità. Puoi vedere com'è quel lato clienti nella pagina sulla gestione clienti.

Passo 5: le note sanitarie non vanno nel campo commenti

Un'allergia alla PPD, un problema al cuoio capelluto, una gravidanza: sono esattamente le cose che devi sapere prima di iniziare un servizio chimico. E sono esattamente le cose che rientrano nell'articolo 9 del GDPR.

L'abitudine diffusa è scriverle nel normale campo commenti della scheda cliente. È comprensibile, perché il campo è lì a portata di mano, ma non rispetta lo standard richiesto. Un campo del genere di solito non è cifrato separatamente ed è visibile a chiunque apra la scheda, compreso l'apprendista che vuole solo confermare l'appuntamento di domani.

Qui la legge chiede due cose: il consenso esplicito del cliente a registrare questi dati e garanzie proporzionate alla loro delicatezza. Nella pratica significa un luogo separato e cifrato, con accesso concesso per singolo collaboratore invece che a tutto il team in una volta.

Salonnare offre per questo un archivio cifrato separato, distinto dal normale campo note, con un permesso proprio per ogni collaboratore e un registro di chi ha consultato i dati. Queste ultime due cose non sono un lusso: sono la tua prova che l'accesso è stato davvero limitato. Come chiedere e registrare il consenso, e quali note rientrano nell'articolo 9, lo trovi spiegato in dettaglio nell'articolo sui dati sanitari nel salone.

Quando qualcosa va storto: le 72 ore che iniziano adesso

Una violazione dei dati non è per forza un attacco informatico. Un telefono rubato con la tua agenda, un quaderno perso, un'email con tutti gli indirizzi dei clienti in copia (cc) invece che in copia nascosta (ccn): sono episodi quotidiani e contano tutti e tre.

La regola è che devi notificare una violazione alla tua autorità di controllo entro 72 ore dal momento in cui ne vieni a conoscenza, a meno che sia improbabile che comporti un rischio per le persone coinvolte. Se il rischio è elevato, devi informare anche i clienti stessi. Quelle 72 ore partono quando scopri la violazione, non quando finalmente capisci cosa è successo.

Ecco perché l'inventario del passo 1 ripaga lo sforzo: entro quelle 72 ore devi dire di chi sono i dati coinvolti e in che quantità. Senza quella panoramica bruci ore preziose solo per capire cosa c'era nel file.

Tieni anche un tuo registro degli incidenti, compresi quelli minori che non devi notificare. È un obbligo e ti aiuta a individuare degli schemi ricorrenti. Per una spiegazione in linguaggio semplice di cosa conta come violazione e di come funziona la notifica, le informazioni del governo olandese su privacy e dati personali illustrano l'approccio con chiarezza. Accordati con il tuo team perché chiunque ti segnali subito un sospetto, perché il conto alla rovescia parte nel momento in cui qualcuno nel salone se ne accorge.

Quanto costa impostare tutto per bene

I cinque passi qui sopra ti costano soprattutto attenzione una tantum, non un budget continuo. La maggior parte del lavoro la fa un software che separa già i dati comuni da quelli particolari, così non devi sorvegliare la differenza a mano ogni giorno.

Salonnare ha un piano gratuito per sempre a 0 € al mese: un collaboratore e fino a cinquanta prenotazioni al mese, con agenda online, cassa e schede clienti. Archiviazione nell'UE, permessi per collaboratore e l'archivio cifrato per i dati sanitari sono inclusi, quindi anche da parrucchiere che lavora da solo puoi completare tutta questa checklist senza abbonamento. Starter costa 29 € al mese per un massimo di tre collaboratori senza limite di prenotazioni; Pro costa 59 € al mese senza limite di dimensione del team.

Conviene essere chiari fin da subito sui costi dei pagamenti. I pagamenti online e con carta passano dal tuo account Mollie o Stripe, quindi il denaro arriva direttamente sul tuo conto bancario e le tariffe le concordi tu con il tuo fornitore di pagamenti. Salonnare non applica alcuna commissione di marketplace sui nuovi clienti che prenotano tramite la piattaforma: è zero. I pagamenti online e con carta prevedono invece una commissione di transazione dello 0,5% con un minimo di 0,30 €, in aggiunta a quanto addebita il tuo fornitore di pagamenti. È più prevedibile di una percentuale su ogni prenotazione, ma non è nulla.

La contabilità passa da un file di esportazione che carichi nel tuo programma di contabilità, così condividi i dati fiscali senza inviare tutto l'archivio clienti. Questo coincide esattamente con il passo 4: esce dal salone solo ciò che serve al commercialista.

Inizia dal passo 1 e segna mezz'ora in agenda questa settimana. Se preferisci sistemare subito anche il resto, puoi iniziare gratis con Salonnare e impostare correttamente schede clienti, tempi di conservazione e note sanitarie fin dal primo giorno.

Domande frequenti sul GDPR nei saloni da parrucchiere